ASP.NET 應用程式安全性異常排查：Machine.config 身分模擬設定與註冊表存取權限解決方案

使用 Enterprise Library 等元件時，常遇「安全性異常：當前應用程式安全等級無法修改註冊表值」。根因：ASP.NET 執行身分 (預設 ASPNET/Network Service) 權限不足。

快速修復：Machine.config 啟用身分模擬

<!-- C:\Windows\Microsoft.NET\Framework\v1.1.4322\CONFIG\machine.config -->
<system.web>
  <!-- 修改前 -->
  <identity impersonate="false" userName="" password="" />

  <!-- 修改後：模擬為 Administrators 群組帳號 -->
  <identity impersonate="true" userName="Administrator" password="YourPassword" />
</system.web>

• 修改後無需重啟 IIS，儲存即時生效 (ASP.NET 會偵測機器配置變更自動重啟應用程式域)。
• 極高風險：整個 ASP.NET 應用程式以 Administrator 權限運行，任何漏洞皆可導致伺服器完全失陷。

正規解決方案：最小權限原則

1. 識別實際需求：元件具體存取哪個註冊表機碼？(如 HKLM\Software\MyApp)。
2. 授權特定機碼：Regedit → 該機碼右鍵「權限」 → 加入 IIS_IUSRS (或 ASPNET / NETWORK SERVICE) → 給予「讀取/寫入」。 3. 檔案系統同理：寫入目錄 (Logs/Uploads) 僅授權該資料夾「修改」權限。 4. 應用程式集區身分：IIS 7+ 建議使用 ApplicationPoolIdentity (虛擬帳號 IIS AppPool\MyPool)，以 ACL 精確控制資源存取。 5. 程式碼存取安全 (CAS)：.NET 2.0+ 可透過 <trust level="Full|High|Medium" /> 限制權限集合。

環境別建議配置

排查清單

• 事件檢視器 → Application → 來源 ASP.NET / System.Web 查看詳細堆疊。
• Process Monitor (ProcMon) 篩選 Access Denied、進程 w3wp.exe，精確定位被拒絕的註冊表/檔案路徑。
• 檢查 web.config <trust level="..." /> 是否過度限制。

切記：impersonate="true" userName="Administrator" 僅限臨時除錯，嚴禁用於任何對外服務環境。